Multa não é o fim: as outras sanções da LGPD que podem parar sua empresa

Todo empresário que a gente atende no Vale do Itajaí faz a mesma pergunta quando o assunto é LGPD: qual é o valor da multa? A pergunta está errada. A multa é só uma entre nove sanções que a ANPD pode aplicar, previstas no art. 52 da Lei 13.709/2018, e na prática não é nem a mais comum nem a que mais dói.

O que quebra operação é outra coisa. Bloqueio de dados, eliminação de banco e suspensão de atividade de tratamento param a empresa sem que ela pague um real de multa. Um e-commerce que perde acesso ao próprio CRM por determinação da ANPD fica sem histórico de compra, sem lista de contato, sem base pra cobrar boleto atrasado. A operação trava, mesmo sem boleto de multa chegando pelo correio.

A multa é rara. A gente explica por quê

A ANPD só pode aplicar sanção administrativa desde agosto de 2021, quando o regulamento de dosimetria entrou em vigor. Antes disso a lei já valia, mas sem punição efetiva. Nesses anos a autoridade abriu processos, mas a multa apareceu bem menos do que faz manchete.

A ordem de aplicação não é livre. O art. 52 lista a advertência primeiro, com prazo pra corrigir o problema, e só depois vêm multa simples, multa diária, publicização, bloqueio, eliminação, suspensão parcial de funcionamento do banco de dados, suspensão da atividade de tratamento e, no limite, proibição parcial ou total de tratar dados. Na prática a ANPD segue essa lógica de gradação: começa leve, escala se a empresa não corrige.

Nossa leitura: empresa que corrige rápido depois de uma notificação da ANPD raramente chega à multa. Quem ignora o aviso é que sente o peso da sanção mais forte.

Advertência: o aviso que vem com prazo pra corrigir

A advertência (art. 52, I) é a porta de entrada. A ANPD aponta o problema e dá um prazo pra correção, prazo que varia caso a caso porque a lei não fixa um número de dias. Não tem multa aqui, mas tem prazo, e prazo perdido conta como agravante daqui pra frente.

Na prática, é a fase em que a empresa ainda decide o próprio destino. Corrigiu dentro do prazo, documentou a correção, o processo tende a fechar sem sanção mais grave. Empresas de Blumenau que já passaram por isso resolveram com política de privacidade refeita, contrato de prestador ajustado, treinamento de equipe registrado. Baixo custo, alto retorno.

Publicização da infração: a sanção que a mídia adora e você teme

A publicização (art. 52, IV) só acontece depois que a infração já foi apurada e confirmada. A ANPD divulga o nome da empresa e o que ela fez de errado. Não tem valor em reais, mas o estrago em reputação costuma custar mais caro que multa.

Falando sério: pra empresa que vende pra consumidor final, esse é o pior cenário depois da suspensão. Cliente não lê processo administrativo, lê manchete. E manchete de vazamento de dados fica no topo do Google por anos.

Bloqueio e eliminação de dados: quando a ANPD desliga sua operação

Bloqueio (art. 52, V) e eliminação (art. 52, VI) atingem só os dados envolvidos na infração apurada, não a empresa inteira. Mas "só os dados envolvidos" pode significar a base de clientes inteira, se foi ela que motivou o processo.

O bloqueio é temporário: a empresa fica proibida de usar aqueles dados até regularizar a situação. A eliminação é definitiva, o dado é apagado e não volta. Pra negócio que vive de relacionamento com cliente, essas duas sanções pesam mais que qualquer multa calculada em percentual de faturamento.

• Bloqueio: dado fica congelado, empresa não pode usar nem tratar, mas o dado ainda existe.
• Eliminação: dado é apagado, sem volta, banco de clientes perde histórico permanentemente.
• Risco típico: e-commerce sem histórico de compra não consegue provar relação comercial em disputa judicial nem calcular tributo retroativo.

Suspensão parcial, suspensão total e proibição: o fim de linha

Suspensão parcial de funcionamento do banco de dados (art. 52, VII) e suspensão da atividade de tratamento (art. 52, VIII) têm prazo máximo de 6 meses, prorrogável por outros 6. Um ano de empresa impedida de tratar dados pessoais é sentença de morte pra maioria dos negócios que dependem de CRM, folha de pagamento ou plataforma de vendas online.

A proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados (art. 52, IX) é o último degrau. Chega até aqui só quem ignorou advertência, multa e suspensão anterior. Na nossa experiência, é sanção pra reincidente contumaz, não pra empresa que erra uma vez e corrige.

O que pesa a favor e contra na hora de calcular a pena

O art. 52, §1º, lista os fatores que a ANPD usa pra definir gravidade e escolher a sanção. A Resolução CD/ANPD nº 4/2023 organiza isso em fases de dosimetria: calcula uma pena-base pela gravidade e natureza da infração, aplica agravantes e atenuantes, depois verifica limites e proporcionalidade.

• Agrava: reincidência, vantagem obtida com a infração, dano a titular vulnerável (criança, idoso), resistência em cooperar com a fiscalização.
• Atenua: boa-fé, adoção de mecanismos internos de governança antes do processo, pronta adoção de medida corretiva, cooperação com a ANPD durante a apuração.
• Pesa a seu favor: política de privacidade documentada, encarregado (DPO) nomeado conforme art. 41, registro de incidente e plano de resposta já formalizado antes do problema aparecer.

Empresa de pequeno porte, microempresa, EPP ou startup tem outro alívio: a Resolução CD/ANPD nº 2/2022 criou regime simplificado de conformidade pra esse porte. Não elimina a obrigação, mas dá prazo maior e exigência mais leve de formalização. Boa parte do comércio e da indústria de Blumenau se encaixa nesse regime, e poucos sabem disso.

O que fazer nas próximas duas semanas

Não espera notificação da ANPD chegar pra descobrir em qual das nove sanções sua empresa se encaixaria hoje.

• Levanta se existe encarregado (DPO) formalmente nomeado, conforme art. 41.
• Revisa a política de privacidade e confere se ela descreve de verdade o que a empresa faz com dado de cliente e funcionário.
• Documenta a base legal (art. 7º) usada pra cada tipo de tratamento, principalmente marketing e dados de saúde ou biometria.
• Confere se existe plano escrito de resposta a incidente, com prazo de notificação definido.
• Verifica se a empresa se encaixa no regime simplificado da Resolução CD/ANPD nº 2/2022 e, se sim, aproveita o prazo estendido pra organizar a casa.

Na prática, empresa que já tem isso documentado quando a ANPD toca a campainha começa a negociação na advertência, não na suspensão. É a diferença entre perder uma tarde corrigindo política de privacidade e perder o acesso ao próprio banco de clientes por seis meses.